Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Die Entitätszuordnung ist ein integraler Bestandteil der Konfiguration geplanter Analyseregeln. Es reichert die Ausgabe der Regeln (Warnungen und Vorfälle) mit wichtigen Informationen an, die als Bausteine für alle folgenden Ermittlungsprozesse und Abhilfemaßnahmen dienen.
Verwenden Sie das folgende Verfahren, um Entitätszuordnungen in einer vorhandenen Analyseregel hinzuzufügen oder zu ändern oder beim Erstellen einer neuen geplanten Analyseregel festzulegen.
Wichtig
- Wichtige Informationen zur Abwärtskompatibilität und zu Unterschieden zwischen den neuen und alten Versionen der Entitätszuordnung finden Sie in den Hinweisen zur neuen und alten Version der Entitätszuordnung.
- Nach dem 31. März 2027 werden Microsoft Sentinel im Azure-Portal nicht mehr unterstützt und sind nur im Microsoft Defender-Portal verfügbar. Alle Kunden, die Microsoft Sentinel im Azure-Portal verwenden, werden zum Defender-Portal umgeleitet und verwenden Microsoft Sentinel nur im Defender-Portal. Ab Juli 2025 werden viele neue Kunden automatisch integriert und an das Defender-Portal umgeleitet. Wenn Sie weiterhin Microsoft Sentinel im Azure-Portal verwenden, empfiehlt es sich, mit der Planung des Übergangs zum Defender-Portal zu beginnen, um einen reibungslosen Übergang zu gewährleisten und die von Microsoft Defender angebotenen einheitlichen Sicherheitsvorgänge in vollem Umfang zu nutzen. Weitere Informationen finden Sie unter Es ist Zeit für den Umstieg: Einstellung des Azure-Portals von Microsoft Sentinel für mehr Sicherheit.
Zuordnen von Entitäten
Führen Sie die folgenden Schritte aus, um Entitäten in einer Analyseregel zuzuordnen:
Geben Sie die Seite Analyse im Portal ein, über die Sie auf Microsoft Sentinel zugreifen:
Wählen Sie im Abschnitt Konfiguration des navigationsmenüs Microsoft Sentinel die Option Analyse aus.
Wählen Sie eine geplante Abfrageregel aus, und wählen Sie im Detailbereich Bearbeiten aus. Oder erstellen Sie eine neue Regel, indem Sie oben auf dem Bildschirm auf Geplante Abfrageregel erstellen > klicken.
Wählen Sie die Registerkarte Regellogik festlegen aus. Wenn eine neue Regel vorhanden ist, geben Sie im Fenster Regelabfrage eine Abfrage ein.
Erweitern Sie im Abschnitt Erweiterung von WarnungenEntitätszuordnung.
Wählen Sie im jetzt erweiterten Abschnitt Entitätszuordnung die Option Neue Entität hinzufügen aus.
Wählen Sie in der Dropdownliste Entität einen Entitätstyp aus.
Wählen Sie eine Identifikatorin für die Entität aus. Bezeichner sind Attribute einer Entität, die sie ausreichend identifizieren können. Wählen Sie einen aus der Dropdownliste Bezeichner und dann ein Datenfeld aus der Dropdownliste Wert aus, das dem Bezeichner entspricht. Mit einigen Ausnahmen wird die Liste Wert durch die Datenfelder in der Tabelle aufgefüllt, die als Betreff der Regelabfrage definiert sind.
Man kann bis zu drei Identifikatoren für eine bestimmte Entitätszuordnung definieren. Einige Bezeichner sind erforderlich, andere sind optional. Sie müssen mindestens einen erforderlichen Bezeichner auswählen. Ist dies nicht der Fall, werden Sie in einer Warnmeldung darüber informiert, welche Bezeichner erforderlich sind. Für beste Ergebnisse – für maximale eindeutige Identifikation – sollten Sie wann immer möglich starke Identifikatoren verwenden, und die Verwendung mehrerer starker Identifikatoren ermöglicht eine stärkere Korrelation zwischen Datenquellen. Sehen Sie sich die vollständige Liste der verfügbaren Entitäten und Bezeichner an.
Wählen Sie Neue Entität hinzufügen aus, um weitere Entitäten zuzuordnen. Man kann bis zu 10 Entitätszuordnungen in einer einzigen Analyseregel definieren. Außerdem können Sie mehrere Entitäten desselben Typs zuordnen. Sie können beispielsweise zwei IP-Entitäten zuordnen, eine aus einem Quell-IP-Adressfeld und eine aus einem Ziel-IP-Adressfeld . Indem Sie beide Felder zuordnen, können Sie beide IP-Entitäten verfolgen.
Wenn Sie Ihre Meinung ändern oder einen Fehler gemacht haben, können Sie eine Entitätszuordnung entfernen, indem Sie auf das Papierkorbsymbol neben der Dropdownliste der Entität klicken.
Wenn Sie die Zuordnung von Entitäten abgeschlossen haben, klicken Sie auf die Registerkarte Überprüfen und erstellen . Sobald die Regelüberprüfung erfolgreich war, klicken Sie auf Speichern.
Hinweis
Bis zu 500 Entitäten können in einer einzigen Warnung identifiziert werden, die gleichmäßig über alle in der Regel definierten Entitätszuordnungen verteilt sind.
- Wenn beispielsweise zwei Entitätszuordnungen in der Regel definiert sind, kann jede Zuordnung bis zu 250 Entitäten identifizieren. Wenn fünf Zuordnungen definiert sind, kann jede bis zu 100 Entitäten identifizieren usw.
- Mehrere Zuordnungen eines einzelnen Entitätstyps (z. B. Quell-IP und Ziel-IP) werden jeweils separat gezählt.
- Wenn eine Warnung Elemente enthält, die diesen Grenzwert überschreiten, werden diese überschüssigen Elemente nicht erkannt und als Entitäten extrahiert.
Das Größenlimit für den gesamten Entitätenbereich eines Warnsignals (das Entitäten-Feld) beträgt 64 KB.
- Entitätsfelder, die größer als 64 KB sind, werden gekürzt. Wenn Entitäten identifiziert werden, werden sie der Warnung nacheinander hinzugefügt, bis die Feldgröße 64 KB erreicht und alle entitäten, die noch nicht identifiziert wurden, aus der Warnung gelöscht werden.
Hinweise zur neuen Version
Die Benutzeroberfläche für die Entitätszuordnung wurde gegenüber einer älteren Version aktualisiert. Beachten Sie die folgenden Abwärtskompatibilitätsdetails:
Da die neue Version jetzt allgemein verfügbar ist (GA), ist die Feature-Flag-Problemumgehung zur Verwendung der alten Version nicht mehr verfügbar.
Wenn Sie zuvor Entitätszuordnungen für diese Analyseregel mit der alten Version definiert haben, werden diese automatisch in die neue Version konvertiert.